Pemerintah dan perusahaan di berbagai negara menutup sementara situs web mereka pada Kamis (22/10), untuk mencegah peretasan setelah akal imitasi (AI) menemukan dua celah keamanan kritis dalam bahasa pemrograman PHP yang digunakan secara luas.

Menurut Wiz Research, salah satu perusahaan keamanan siber yang menemukan kedua celah tersebut, PHP menopang sekitar 70 persen situs web di dunia, mulai dari toko daring dan portal berita hingga layanan pemerintah.

Dikembangkan pada awal 1990-an, PHP semula merupakan singkatan dari personal home page. Kini, PHP berarti hypertext preprocessor dan menjadi fondasi berbagai platform pengembangan situs web populer.

"Temuan ini termasuk di antara kerentanan paling serius yang pernah ditemukan dalam PHP, bahkan mungkin dalam sejarah perangkat lunak,” tulis Wiz dalam blognya.

Model AI yang kian canggih kini mampu mendeteksi kelemahan dalam kode program sisi belakang (back-end) yang luput dari perhatian manusia selama bertahun-tahun. Kemampuan ini memicu kekhawatiran baru di bidang keamanan siber. Jumlah kerentanan perangkat lunak yang ditemukan di seluruh dunia pada 2026 diperkirakan hampir dua kali lipat rekor tahun lalu. 

Kerawanan terbatas

Pengembang PHP merilis perbaikan pada Rabu (21/10). Badan Keamanan Nasional Amerika Serikat (NSA) mendesak organisasi segera memperbarui sistem mereka atau menonaktifkan sistem yang rentan. Imbauan serupa disampaikan otoritas di berbagai negara, dari Jepang hingga Uni Eropa.

Sebuah platform yang berafiliasi dengan Kementerian Perindustrian dan Teknologi Informasi Cina juga mengeluarkan peringatan tentang "dua kerentanan kritis yang memungkinkan eksekusi kode dari jarak jauh dengan dampak serius”.

Hanya situs yang menjalankan PHP di server mereka sendiri yang terdampak. Banyak platform besar menggunakan bahasa pemrograman lain atau memiliki operator yang mampu segera memasang pembaruan keamanan sehingga layanan mereka tetap beroperasi.

Rahat Masood, dosen senior keamanan siber di University of New South Wales, Sydney, menyebut penemuan itu "sangat menghancurkan”.

Celah tersebut memungkinkan "penyerang masuk ke server tanpa otorisasi, tanpa nama pengguna ataupun kata sandi,” kata Masood kepada AFP.

"Begitu masuk ke server, mereka bisa melakukan apa saja,” ujarnya. Penyerang dapat mencuri informasi sensitif hingga mengubah konten situs web. Ia mendesak semua institusi menanggapi ancaman tersebut dengan serius. 

Babak baru pertahanan siber

Situs sejumlah lembaga pemerintah di berbagai negara, termasuk Australia, Finlandia, dan Belanda, sempat tidak dapat diakses. Perusahaan asuransi, operator transportasi, dan media juga melakukan pemeliharaan darurat terhadap layanan mereka.

Sejumlah aplikasi populer, termasuk aplikasi pelacak tidur Pokémon, turut dinonaktifkan sementara selama pembaruan keamanan diterapkan. Yayasan yang mengelola Wikipedia juga memperingatkan pengguna tentang kemungkinan gangguan layanan saat mereka menutup celah tersebut.

"Jika Anda menggunakan PHP, Anda wajib memperbaruinya sekarang,” demikian pernyataan PHP Foundation, yayasan yang mendanai para pengembang bahasa pemrograman tersebut.

Volker Dusch, pakar keamanan di PHP Foundation, mengatakan kepada The Wall Street Journal bahwa kerentanan tersebut merupakan masalah paling serius yang dihadapi PHP dalam lebih dari satu dekade. Ia membandingkannya dengan Heartbleed, celah keamanan yang memicu pembaruan besar-besaran di seluruh dunia pada 2014.

Perusahaan keamanan siber Calif menemukan kedua celah tersebut pada Agustus dengan menggunakan model GPT-5.6 Sol milik OpenAI. Penemuan itu merupakan bagian dari audit kode PHP yang didanai OpenAI.

OpenAI menyatakan temuan tersebut "menandai babak baru, ketika AI mampu menemukan celah keamanan dengan dampak yang menjangkau internet secara luas.”

Wiz, perusahaan keamanan siber milik Google, mengatakan menemukan celah serupa secara independen beberapa pekan kemudian dengan bantuan sejumlah model AI, termasuk Gemini 4 Argon milik Google dan GPT-5.6 Sol.

Kedua kerentanan itu sebelumnya telah dilaporkan secara tertutup kepada pengembang PHP. Informasinya dirahasiakan hingga perbaikan siap dirilis. 

AI percepat respons

Rincian mengenai celah tersebut bocor ke internet pada Selasa, sehari sebelum perbaikan dijadwalkan dirilis. Kebocoran itu memicu langkah cepat untuk menonaktifkan situs sebelum peretas sempat mengeksploitasi kelemahannya.

Steve Kerrison, dosen senior keamanan siber di kampus Singapura James Cook University, mengatakan kepada AFP bahwa kekhawatiran peretas dapat memanfaatkan AI untuk mengeksploitasi celah PHP secara cepat dan mudah telah mempercepat respons berbagai organisasi.

Sejauh ini, belum banyak bukti mengenai serangan yang menimbulkan kerusakan serius. Namun, kebocoran data dapat memicu gelombang serangan phishing di kemudian hari, yakni upaya pencurian kata sandi dengan memanfaatkan informasi pribadi korban.

Menurut Kerrison, institusi besar seperti lembaga pemerintah dan media semestinya mampu memperbaiki situs mereka dalam waktu relatif singkat. Namun, organisasi lain mungkin tetap rentan.

"Ada situs, sistem, dan orang-orang di luar sana yang sama sekali tidak mengetahui masalah ini dan mungkin baru akan mengetahuinya beberapa hari, beberapa pekan, bahkan beberapa bulan lagi,” katanya.

Mereka termasuk pengelola blog pribadi yang menjalankan situs sendiri. Situs semacam itu berpotensi dimanfaatkan untuk menyebarkan virus komputer, mengirim spam, atau mendistribusikan konten berbahaya.

Asia perketat pertahanan siber

Bank Jepang Mitsubishi UFJ Financial Group pada Kamis menyatakan menangguhkan sementara sejumlah layanan internet sebagai bagian dari langkah darurat. Kementerian Keuangan Jepang juga menangguhkan sebagian konten situs dan layanan daring selama menerapkan langkah pengamanan.

Sejumlah pemerintah di Asia memerintahkan pemeriksaan keamanan siber terkait celah PHP tersebut pada hari yang sama.

Kementerian Perindustrian dan Teknologi Informasi Cina mendesak organisasi dan pengguna segera memeriksa sistem mereka serta memperbarui PHP ke versi terbaru yang aman. Kementerian itu juga menyarankan penguatan pemantauan keamanan siber dan segera mengganti akun, kata sandi, serta kunci autentikasi.

Pemerintah Korea Selatan menaikkan tingkat kewaspadaan keamanan siber di sektor swasta dan mengaktifkan langkah tanggap darurat. Kebijakan itu diambil karena kekhawatiran meningkatnya risiko serangan peretasan akibat celah tersebut.

Editor: Ayu Purwaningsih